Vorabfreischaltung für das SSL-VPN Ihrer Firewall
Vor Ihrem VPN-Portal fehlt eine Instanz.
allowip.io schaltet die Adresse eines Mitarbeiters auf Anforderung frei – für 24 Stunden, ohne Client, ohne dauerhafte Ausnahme in der Firewall.
198.51.100.23noch 21 h 08 min203.0.113.87noch 9 h 41 min192.0.2.140noch 2 h 15 min203.0.113.201gerade freigeschaltet
Abruf durch die Firewall alle 60 Sekunden
Alle anderen Adressen: VPN-Port geschlossen
Ein SSL-VPN-Portal muss erreichbar sein, um zu funktionieren – und ist damit für jeden Scanner im Internet sichtbar. Geo-Blocking reduziert das wirksam, bis der erste Mitarbeiter aus einem gesperrten Land arbeiten muss. In der Praxis wird dann ein ganzes Land geöffnet und bleibt es. allowip.io kehrt das Prinzip um: Der Zugang entsteht erst, wenn ihn jemand anfordert, und verschwindet von selbst wieder.
Wo Geo-Blocking allein scheitert
Das Portal antwortet jedem
Wer den Port erreicht, bekommt eine Anmeldemaske. Automatisierte Anmeldeversuche laufen rund um die Uhr und finden jede neue Adresse binnen Stunden.
Ein Land für eine Person
Freigaben werden für einzelne Reisen geöffnet – und bleiben offen, weil niemand den Rückbau terminiert. Die Ausnahme wird zum Dauerzustand.
MFA greift erst danach
LDAP und FortiToken schützen die Anmeldung. Gegen Schwachstellen im VPN-Dienst selbst wirkt nur, wer den Dienst gar nicht erst erreicht.
Zugriff mit Vorabfreischaltung
Die Freigabeliste wird als externe Ressource in die Firewall eingebunden und neben der Geo-Adresse in der Zugriffsregel ausgewertet. Zugriffe aus Deutschland laufen unverändert.
Mitarbeiter im Ausland
Hotel, Kundennetz, fremdes Gerät
allowip.io
Freischaltportal je Kunde
- Code-Eingabe auf schwarzer Seite
- Captcha gegen automatisierte Zugriffe
- IP-Freigabe, gültig 24 Stunden
- Feed über HTTPS mit Authentifizierung
Firewall
- Threat Feed, Abruf im Minutentakt
- Local-in-Policy auf den VPN-Port
- SSL-VPN mit LDAP und FortiToken
Ohne Freischaltung bleibt der Port geschlossen – die Anmeldemaske erscheint gar nicht erst.
- 24 Stunden
- Jede Freigabe verfällt automatisch. Kein manueller Rückbau, keine vergessene Ausnahme.
- 60 Sekunden
- Die Firewall holt die Liste im Minutentakt. Der Zugang steht innerhalb von zwei Minuten.
- Kein Client
- Freischaltung im Browser. Kein Rollout, kein Zertifikat, keine Installation.
Was die Freischaltung leistet
Angriffsfläche verschwindet
Nicht freigeschaltete Adressen erreichen den VPN-Dienst nicht. Scanner und Botnetze laufen ins Leere, bevor eine Anmeldung überhaupt möglich ist.
Geo-Blocking bleibt scharf
Ganze Länder müssen nicht mehr geöffnet werden, weil sich eine einzelne Person dort aufhält. Der Filter bleibt eng, der Betrieb trotzdem möglich.
Ohne Client und ohne Rollout
Die Freischaltung erfolgt im Browser – aus dem Hotel-WLAN, aus einem Kundennetz oder von einem fremden Endgerät aus.
Zeitlich begrenzt
Jeder Eintrag verfällt nach 24 Stunden. Freigaben sammeln sich nicht an, ein Rückbau durch die IT entfällt.
Nachvollziehbar
Zeitpunkt, Quelladresse und verwendeter Code werden protokolliert – Grundlage für Revision und für die Sperre einzelner Codes.
Kein Umbau der Firewall
Einbindung als externe Ressource und eine Zugriffsregel. Authentifizierung, Portale und Routing bleiben unverändert.
Wogegen die Vorabfreischaltung wirkt
Alles, was den Dienst erreicht, bevor eine Anmeldung stattfindet.
- Brute-Force auf das VPN
- Credential Stuffing
- Portscans
- Botnetz-Verkehr
- Pre-Auth-Schwachstellen
- Dauerhafte Geo-Ausnahmen
- Zugriff aus Drittländern
- Log-Rauschen
Eine Liste statt vieler Ausnahmen
Die Freigabeliste wird als externe Ressource in die Firewall eingebunden und zusammen mit einer Geo-Adresse in der Zugriffsregel für den VPN-Port ausgewertet. Damit entfällt die Pflege einzelner Firewall-Ausnahmen: Wer Zugriff braucht, fordert ihn selbst an. Bestehende Anmeldeverfahren mit LDAP und FortiToken bleiben unverändert bestehen.
Technische Eckdaten
- Einbindung
- External Resource über HTTPS mit Authentifizierung
- Abruf
- im Minutentakt
- Auswertung
- in einer Local-in-Policy neben der Geo-Adresse
- Gültigkeit
- 24 Stunden je Eintrag
- Mandanten
- je Kunde eine eigene Subdomain
- Betrieb
- Betrieb und Wartung der Plattform durch Provaris
Einführung in vier Schritten
Subdomain
Freischaltportal einrichten und Codes an den Personenkreis vergeben.
Feed anbinden
Externe Ressource auf der Firewall anlegen und den Abruf prüfen.
Regel setzen
Zugriffsregel zunächst ergänzend aktivieren und im Betrieb beobachten.
Aufräumen
Dauerhafte Geo-Ausnahmen entfernen und den Filter wieder eng ziehen.
Häufige Fragen
Muss auf den Geräten der Mitarbeiter etwas installiert werden?
Nein. Die Freischaltung erfolgt im Browser. Es gibt keinen Client, kein Zertifikat und keinen Rollout.
Was passiert nach 24 Stunden?
Der Eintrag verfällt automatisch und verschwindet beim nächsten Abruf aus der Freigabeliste. Wer weiter Zugriff braucht, schaltet sich erneut frei.
Wie schnell steht der Zugang nach der Freischaltung?
Die Firewall holt die Liste im Minutentakt. Der Zugang steht innerhalb von zwei Minuten.
Ersetzt allowip.io die Anmeldung mit LDAP und FortiToken?
Nein. Die Vorabfreischaltung liegt davor. Bestehende Anmeldeverfahren, Portale und Routing bleiben unverändert.
Ändert sich etwas für Zugriffe aus Deutschland?
Nein. Die Freigabeliste wird neben der Geo-Adresse in der Zugriffsregel ausgewertet. Zugriffe aus Deutschland laufen unverändert.
Was wird protokolliert?
Zeitpunkt, Quelladresse und verwendeter Code jeder Freischaltung. Damit lassen sich Zugriffe nachvollziehen und einzelne Codes sperren.
Wer betreibt die Plattform?
Die Provaris GmbH in Mannheim. Jeder Kunde erhält eine eigene Subdomain; Betrieb und Wartung liegen bei Provaris.
Sprechen wir über Ihr VPN-Portal.
Wir prüfen mit Ihnen, wie die Freigabeliste in Ihre Firewall passt, und richten Ihr Freischaltportal ein. Provaris ist seit 2004 auf Fortinet-Lösungen spezialisiert.
Gottlieb-Daimler-Straße 12
68165 Mannheim
Telefon +49 (0) 621 97693 0
E-Mail info@provaris.com
www.provaris.com